RGPD Article 32 (Sécurité du traitement)

L'Article 32 du RGPD impose au responsable du traitement et au sous-traitant de mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Cite explicitement : pseudonymisation et chiffrement des données personnelles ; capacité à garantir la confidentialité, l'intégrité et la disponibilité ; rétablissement en cas d'incident ; tests réguliers. Standard de fait : "chiffrement au repos + chiffrement en transit" : c'est le minimum exigé par la CNIL en cas d'audit. Le chiffrement par MAFATE remplit cette obligation. Ce que l'article dit vraiment, et qu'on lui fait souvent dire de travers : il ne rend le chiffrement obligatoire nulle part. Il impose des mesures « appropriées au risque » et cite le chiffrement comme exemple, au même titre que la pseudonymisation. Cette nuance a une conséquence pratique inverse de ce qu'on croit : l'absence de chiffrement n'est pas une infraction en soi, mais elle devient très difficile à défendre dès lors que la donnée est sensible et que le chiffrement était disponible à un coût raisonnable. C'est le raisonnement suivi par la CNIL dans ses sanctions récentes. Le lien avec l'article 34 est le point le plus mal compris : en cas de violation, la notification aux personnes concernées peut être levée si les données étaient chiffrées et que les clés n'ont pas été compromises. C'est là que la séparation des clés prend toute sa valeur, car un chiffrement dont la clé se trouve sur le même serveur que la donnée ne survit pas à l'analyse. En pratique, l'article 32 s'évalue sur quatre points : quelles données sont chiffrées, où vivent les clés, qui peut les utiliser, et ce que le journal permet de reconstituer après coup. Un dossier qui répond précisément à ces quatre questions passe ; un dossier qui affirme « nous chiffrons » sans les détailler ne passe pas.